如何为 AWS 备份虚拟 MFA答案

【问题标题】：How to backup virtual MFA for AWS如何为 AWS 备份虚拟 MFA
【发布时间】：2018-11-18 22:10:56
【问题描述】：

为了保护 AWS 帐户，最好拥有虚拟 MFA 设备，例如 Google Authenticator。

通常，您可以只为二维码拍照，并在任意数量的设备上使用它（如这里建议的https://webapps.stackexchange.com/a/66666/188445，抱歉，无法评论该答案，没有声誉)。

但是，在 AWS 上，它要求两个代码进行确认，这让我认为它是特定于设备的。有什么方法可以在两台设备上制作 AWS MFA 或在手机丢失时使用备份？

【问题讨论】：

两件事：1) 不要使用您的 root 帐户和 2) 如果您需要备份 MFA 选项，那么只需在同一个 IAM 组中创建两个 IAM 用户（可能是 alex 和 alex-backup），然后然后为每个 IAM 用户独立配置 MFA。另见stackoverflow.com/questions/19723585/…
查看多设备 MFA 和安全 MFA 备份的 Authy。 authy.com/blog/multi-multi-factor-authentication

【解决方案1】：

首先，我将成为 那个人 并说 - 不要备份您的 MFA 密钥。如果您丢失了设备，只需联系支持人员跳过重置步骤即可。

虽然它不一定会破坏提高安全性的目的，而且也不太可能有人会试图窃取您的密钥，但我认为您在安全方面对自己没有任何好处。

但这不是你要问的。

当您说“在 AWS 上它要求两个代码进行确认时，这让我认为它是特定于设备的”，我不确定我是否遵循。是的，它是特定于设备的，因为您需要扫描 QR 码或输入密钥的特定设备才能通过 MFA 进行身份验证。

但仅仅因为有两个字段，并不意味着您需要两个不同的 QR 码或 MFA 密钥 - 您只需要他们显示给您的那个。

设置身份验证器后，您将看到的第一个代码输入到第一个字段中，然后等待该代码循环退出，然后将下一个代码输入到第二个字段中。要求两个代码只是确保您的身份验证器正常工作。其他使用身份验证器作为 MFA 的服务没有什么不同 - 有些只要求出现的第一个代码，有些要求两个。（我个人认为两个更好。）

【讨论】：

谢谢，也就是说我可以打印这个二维码，如果我丢失了我的手机，我可以使用这个打印的二维码设置另一个谷歌身份验证器来登录和更改凭据？
@lebed2045 是的，但是如果您要备份它，也可以备份 MFA 密钥，这样您就拥有了两者。然后，如果由于某种原因您设备的摄像头无法使用 QR 码，那么您仍然可以将密钥输入到您的设备中。